容器内部启动的 SSH 进程

此规则检测从容器内部执行的 SSH 或 SSHD 进程。这包括客户端 ssh 二进制文件和服务器 ssh 守护进程。应避免在容器内部使用 SSH，并在必要时密切监控。使用有效的凭据，攻击者可能会通过容器突破横向移动到其他容器或底层主机。他们还可以使用有效的 SSH 凭据作为持久化机制。

规则类型: eql

规则索引:

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: now-6m ( 日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

版本: 2

规则作者:

规则许可证: Elastic License v2

process where container.id: "*" and event.type== "start" and
event.action in ("fork", "exec") and event.action != "end" and
process.name: ("sshd", "ssh", "autossh")